Mozilla und Firefox geben Inhalte des Speichers preis

Ein Fehler in der JavaScript-Implementierung der Websuite Mozilla und des Standalone-Webbrowsers Firefox offenbart Angreifern Teilinhalte des Hauptspeichers. Unter Umständen sind darin vertrauliche Daten aus vorhergegangenen oder noch aktiven Browser-Sessions enthalten. Die Schwachstelle findet sich in der Replace()-Funktion. Bei Lambda-Expressions als zweitem Argument, also der Angabe einer Funktion statt eines Parameters, liefert die JavaScript-Engine noch Teile des Speichers hinter dem resultierenden String mit.

Der Sicherheitsdienstleister Secunia hat eine Demo zu der Schwachstelle auf seinen Seiten veröffentlicht, mit der Anwender prüfen können, ob ihr Browser verwundbar ist. Bei einem Test in der Redaktion von heise Security zeigte die Demo Teile eines zeitgleich geöffneten Fensters an, in der eine Online-Banking-Verbindung aktiv war -- unter anderem auch den Loginnamen.

Betroffen sind sowohl die Windows-Versionen von Firefox 1.0.1, 1.0.2 und Mozilla 1.7.6 als auch die Linux-Versionen. Laut Eintrag in der Mozilla-Fehlerdatenbank ist der Fehler in den gegenwärtigen Entwicklerversionen bereits behoben. Bis zur Veröffentlichung einer offiziellen Version hilft nur, JavaScript abzuschalten.

Laut des Bugzilla-Eintrags war der Fehler bereits 1997, also noch zu Netscape-Zeiten, bekannt. Zwar versuchte man ihn im Jahre 2000 zu korrigieren, wie sich jetzt herausstellte gelang dies aber nur zur Hälfte. (dab/c't)

Quelle: http://www.heise.de/newsticker/meldung/58228

In den so genannten Nightlys, also den kommenden Versionen von Fx, ist das soweit ich weiss schon behoben. D.h. es wird wohl sehr bald auch in den offiziell releasten Versionen korrigiert. Bia dahin kann man Java Script abschalten (geht sehr einfach mit der Erweiterung PrefBar), 'ne Nightly nutzen oder einfach hoffen

edit: Wem das schon jetzt nicht ganz geheuer ist, der sollte es mit folgender Version probieren:
Firefox RC (1.0.3; de) .zip Firefox RC (1.0.3; de) Installer

Hier ist das Problem bereits gepatcht. Lässt sich, zumindest bei mir, auch einfach über die 1.0.2er installieren (wer auf Nummer sicher gehen will macht sich 'ne Kopie vom Profil).

also ... ich bin ungefähr so vertraut mit computern wie lothar matthaäus mit der englischen sprache und hab keine ahnung wovon ihr hier grade redet, es klingt nur sehr warnend für alle firefox-benutzer, wovon ich auch einer bin.

könnt ihr mir das mal auf deutsch erklären und was ich machen muss, damit ich keine viren oder so aufn pc bekomme??
danke

JahSoldier hat folgendes geschrieben:

könnt ihr mir das mal auf deutsch erklären und was ich machen muss, damit ich keine viren oder so aufn pc bekomme?? danke

Normalerweise reicht es wenn Du einfach garnix machst. Es wird sicherlich sowieso sehr bald ein Update geben. Sollte Dir das nicht schnell genug gehen, kannst Du Dir unter oben genanntem Link den Installer ziehen und einfach installieren. Aber wie gesagt, wenn Du keine Ahnung hast, dann lass es am Besten und mach morgen oder übermorgen mal ein Update über die firefoxinterne Updatefunktion.

edit: Du kannst Dir übrigens über diese Lücke keinen Virus einfangen. Es geht nur darum das Aussenstehende darüber einen sehr kleinen Teil Deines Speichers einsehen könnten. Die müssten dann aber auch erstmal auf Deinen Computer kommen. Ausserdem können soweit ich informiert bin hierüber auch keine Daten von sicheren Seiten, also z.B. Passwörter vom Online Banking o.ä. eingesehen werden. D.h. ein böser Mensch der es schafft auf deinen PC zu kommen wüsste u.U. das Du gerade bei Comunio bist. Nicht mehr und nicht weniger.